Garanties Amerikaanse clouddiensten flinterdun

Overheden en bedrijven die gegevens laten verwerken door in de VS gebaseerde cloud-diensten, zoals die van bijvoorbeeld Google, Dropbox of Microsoft, moeten zich realiseren dat de garanties die dergelijke bedrijven bieden ten aanzien van de bescherming van persoonsgegevens flinterdun zijn. Organisaties blijven zelf verantwoordelijk voor de gegevens.

Zelfcertificering
Het College Bescherming Persoonsgegevens onderzocht de garanties - met name de Safe Harbor-verklaring die Amerikaanse bedrijven afgeven - op verzoek van SURFmarket, dienstverlener voor honderdduizenden medewerkers en studenten in het Nederlandse hoger onderwijs. De Safe Harbor-regeling is een afspraak tussen de VS en de EU, die stelt dat Amerikaanse bedrijven alleen Europese persoonsgegevens mogen verwerken en opslaan als ze een Safe Harbor-certificaat hebben. Die vorm van zelfcertificering garandeert volgens het CBP niet dat de verwerking van de gegevens in de VS zelf voldoet aan Europese richtlijnen. Evenmin is Safe Harbor (waaraan een paar duizend Amerikaanse bedrijven zeggen te voldoen) een garantie voor afdoende gegevensbeveiliging.

Beveiliging
Ook standaarden als SAS 70, de in Nederland gangbare ISAE 3402 en SSAE 16, die gaan over extern toezicht op de beveiliging, bieden niet de garantie dat de beveiliging zelf aan alle eisen voldoet. Daarnaast is het nog de vraag of zogeheten 'sub-bewerkers' (partijen die door de cloudleverancier worden ingeschakeld om bijvoorbeeld opslag of beheer te verzorgen) eveneens aan de Safe Harbor-regels voldoet en hoe die garantie wordt gecommuniceerd.

Meldplicht
Ten slotte merkt het CBP ook nog op dat de door de regering gewenste meldplicht voor datalekken in het geval van clouddiensten alleen is te realiseren als de verantwoordelijke daarover heldere afspraken maakt met de 'bewerker' (de cloudleverancier) en eventuele sub-bewerkers. De organisatie die gegevens bij clouddiensten onderbrengt blijft te allen tijde zelf verantwoordelijk voor het naleven van de Wet bescherming persoonsgegevens, stelt het CBP.